growResonance
Demo buchen
← Alle Artikel

DSGVO konformes Hosting für Deutschland: 8 Kriterien, Drittlandrisiken

Verschlüsselte Server in einem sicheren Rechenzentrum

DSGVO-konformes Hosting bedeutet nicht „Server steht in Deutschland“ und fertig. Es bedeutet einen rechtssicheren Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, konkret benannte technisch-organisatorische Maßnahmen nach Art. 32 sowie volle Transparenz über alle eingesetzten Subprozessoren. EU- oder EWR-Rechenzentren senken das Risiko bei Drittlandtransfers, ersetzen aber keine der beiden Vertragsgrundlagen. Die folgenden Abschnitte zeigen, wie Sie AVV, TOMs und Drittlandrisiken konkret prüfen.

Kurz gesagt:

  • Ein DSGVO-konformer Hosting-Vertrag muss einen vollständigen Auftragsverarbeitungsvertrag enthalten, der konkrete Details zu Dauer, Verarbeitung und Datenschutzmaßnahmen regelt.
  • Technische Maßnahmen wie TLS 1.2 oder höher, AES-256-Verschlüsselung, Zwei-Faktor-Authentifizierung und regelmäßige Backups in der EU sowie Monitoring sind unverzichtbar.
  • Ein Serverstandort in der EU reicht nicht aus, wenn externe Zugriffe über US-Muttergesellschaften oder Drittdienste möglich sind, da US-Recht Zugriff ermöglichen kann.
  • Wer die Subprozessoren nicht offen nennt, keine Datenschutzdokumentation vorlegt oder widersprüchliche Backup-Standorte angibt, sollte den Anbieter wechseln.
  • Eine eigene, aktuell gepflegte Dokumentation der Verträge, Zertifikate und Audit-Berichte schützt vor behördlichen Prüfungen und ist der wichtigste Baustein für Datensicherheit.

Inhaltsverzeichnis

Sofort-Checkliste: Die 8 Muss-Kriterien für DSGVO-konformes Hosting

Bevor Sie einen Anbieter beauftragen, lohnt sich ein nüchterner Blick auf acht Punkte. Fehlt einer davon, sollten Sie nachfragen, bevor Sie unterschreiben.

  1. AVV liegt vollständig vor und regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung nach Art. 28 DSGVO.
  2. TOMs sind konkret benannt, nicht nur als Textbaustein: Verschlüsselung, Backup-Rhythmus, Zugriffskontrolle mit Namen und Zahlen.
  3. Rechenzentrumsstandort liegt in der EU oder im EWR, inklusive Nachweis, wo die Daten tatsächlich verarbeitet werden.
  4. Subprozessoren sind namentlich gelistet, samt Prüf- und Audit-Rechten für Sie als Verantwortlichen.
  5. Backups laufen in der EU oder im EWR, TLS ist auf allen Verbindungen aktiv, ein SLA regelt Reaktionszeiten.
  6. Meldewege für Sicherheitsvorfälle sind vertraglich fixiert, nicht nur mündlich zugesagt.
  7. Zertifikate wie ISO 27001 oder vergleichbare Audit-Berichte liegen vor, gelten aber als Indiz, nie als Ersatz für den AVV.
  8. Das Angebot enthält keine vagen Formulierungen wie „im Regelfall EU-Standort“ oder „TOMs auf Anfrage“.

Ein häufiger Fehler: Anbieter werben mit deutschem Serverstandort, liefern aber keinen AVV oder verweisen nur auf ihre AGB. Das reicht rechtlich nicht. DSGVO-konformes Hosting entsteht laut Codamic AG erst aus dem Zusammenspiel von Infrastruktur, Vertrag und laufendem Betrieb, nicht aus der Postanschrift des Rechenzentrums. Rote Flaggen sind schnell erkannt: kein AVV im Angebot, keine Liste der Subunternehmer, keine Aussage zum Backup-Standort. Sobald zwei dieser drei Punkte fehlen, würde ich als Verantwortlicher den Anbieter wechseln.

Was muss im Auftragsverarbeitungsvertrag stehen?

Ein AVV ist kein Formular, das man einmal unterschreibt und dann vergisst. Er muss nach Art. 28 Abs. 3 DSGVO konkrete Angaben enthalten, sonst ist er im Ernstfall wertlos.

Pflichtinhalte, die häufig fehlen oder zu vage formuliert sind:

  • Gegenstand und Dauer der Verarbeitung, nicht nur „Hosting-Dienstleistungen allgemein“
  • Art und Zweck der Verarbeitung mit Bezug auf die konkret gehosteten Daten
  • Die TOMs selbst, entweder direkt im Vertrag oder als geprüfte Anlage
  • Regelungen zu Subunternehmern, inklusive Zustimmungspflicht bei Wechsel
  • Unterstützungspflichten bei Betroffenenrechten wie Auskunft oder Löschung
  • Löschung oder Rückgabe der Daten nach Vertragsende, mit Frist

Viele Standard-AVVs von Hostern enthalten genau hier Lücken, wie eRecht24 in seiner Praxisübersicht zu Hosting und Datenschutz zeigt. Landesdatenschutzbehörden veröffentlichen dazu eigene Checklisten, weil sie in Prüfverfahren immer wieder dieselben Schwachstellen finden.

Zur Formalie: Ein AVV muss nicht per Post mit Unterschrift unter Zeugen abgeschlossen werden. Die Behördenpraxis akzeptiert nach einer Einschätzung auf Anwalt auch den elektronischen Abschluss per E-Mail oder Klick-Bestätigung im Kundenportal. Eine qualifizierte elektronische Signatur ist in der Regel nicht zwingend.

Profi-Tipp: Fordern Sie vor Vertragsschluss aktiv die aktuelle Subprozessorenliste an, nicht nur den AVV selbst. Ein Hoster, der diese Liste zögerlich herausgibt, hat meist auch keine saubere interne Dokumentation seiner eigenen Dienstleister.

Ein AVV muss außerdem zur konkreten Servicekategorie passen. Ein Vertrag für einfaches Shared-Hosting sieht anders aus als einer für Managed-Server mit Datenbankzugriff durch den Support. Verantwortliche sollten diese Anpassung aktiv einfordern und nicht das Standarddokument des Anbieters unbesehen akzeptieren.

Welche technischen Maßnahmen muss ein Hoster nachweisen?

Art. 32 DSGVO verlangt „geeignete“ technisch-organisatorische Maßnahmen, ohne eine feste Liste vorzugeben. In der Praxis haben sich trotzdem klare Mindeststandards etabliert, die jeder seriöse Anbieter nachweisen kann.

Bei der Verschlüsselung zählt der Transportweg genauso wie die Speicherung: TLS 1.2 oder höher für alle Verbindungen, idealerweise mit HSTS erzwungen, und AES-256 oder ein vergleichbares Verfahren für ruhende Daten. Bei der Zugriffskontrolle geht es um SSH-Schlüssel statt Passwörter, Zwei-Faktor-Authentifizierung für administrative Konten und ein Rollenmodell nach dem Prinzip der minimalen Rechtevergabe. Protokolle sollten dabei pseudonymisiert oder nach kurzer Frist gekürzt werden, damit die Logs selbst kein Datenschutzproblem werden.

Backups brauchen drei Eigenschaften: eine klare Frequenz, einen Speicherort in der EU oder im EWR und regelmäßige Restore-Tests. Ein Backup, das nie zurückgespielt wurde, ist im Ernstfall nur eine Vermutung. Dazu kommt laufendes Monitoring mit Intrusion Detection, regelmäßigen CVE-Scans und einem dokumentierten Patch-Management, damit bekannte Schwachstellen nicht wochenlang offenbleiben.

Als Nachweis dürfen und sollten Sie Folgendes einfordern:

  • Aktuelle Penetrationstest-Berichte, nicht älter als 12 bis 18 Monate
  • ISO-27001-Zertifikate oder vergleichbare SOC-Berichte
  • SLA-Dokumente mit konkreten Reaktions- und Wiederherstellungszeiten
  • Ein Beispiel-AVV zur Prüfung der TOM-Formulierungen

Anbieter wie Hetzner veröffentlichen ihre AVV-Dokumente öffentlich, inklusive der dort geregelten Verantwortlichkeiten und Zugangskontrollen. Das ist ein guter Referenzpunkt, um die eigenen Angebote daran zu messen: Wer weniger Detailtiefe liefert, muss das begründen können.

Zertifikate ersetzen den AVV nicht. Ein ISO-27001-Siegel belegt ein funktionierendes Sicherheitsmanagement, sagt aber nichts über die vertragliche Verarbeitungsgrundlage aus. Beide Nachweise gehören zusammen geprüft, nie als Alternative zueinander.

Warum reicht ein EU-Serverstandort nicht immer aus?

Ein Rechenzentrum in Frankfurt oder München schützt nicht automatisch vor Drittlandtransfers. Entscheidend ist, wer außerhalb der EU technischen oder rechtlichen Zugriff auf die Daten haben könnte, auch wenn die Server physisch in Europa stehen.

Hand, die ein Kabel im Serverraum verbindet

Der Grund: Hat der Hoster eine US-amerikanische Muttergesellschaft, kann diese über den US CLOUD Act theoretisch zur Herausgabe von Daten verpflichtet werden, unabhängig vom Serverstandort. Die Vergabekammer Baden-Württemberg hat genau das in einer Entscheidung bestätigt: Die Nutzung der EU-Tochter eines US-Konzerns kann als unzulässige Drittlandübermittlung gewertet werden, weil eine latente Zugriffsmöglichkeit der Mutter besteht.

Absicherung ist trotzdem möglich, über mehrere Wege:

  • Ein Angemessenheitsbeschluss der EU-Kommission für das jeweilige Zielland
  • Standardvertragsklauseln (SCCs) kombiniert mit einer Transfer Impact Assessment
  • Binding Corporate Rules (BCRs) bei konzerninternen Datenflüssen

Häufig übersehen werden dabei versteckte Transfers, die gar nicht durch den Haupthoster laufen. CDNs, eingebundene Schriftarten, Analytics-Skripte und Chat-Widgets senden oft Daten an Server außerhalb der EU, selbst wenn die eigentliche Website komplett in Deutschland gehostet wird. Laut Zenku entstehen genau hier die meisten unbemerkten Verstöße. Technisch lassen sich solche Verbindungen mit den Browser-Entwicklertools nachvollziehen: Öffnen Sie den Netzwerktab und prüfen Sie, welche externen Domains beim Seitenaufruf kontaktiert werden.

Profi-Tipp: Verlangen Sie von jedem eingebundenen Drittdienst, egal wie klein, eine eigene Subprozessor-Angabe. Ein Kontaktformular-Plugin mit US-Anbindung kann Ihr ganzes DSGVO-Konzept aushebeln, selbst wenn der Hauptserver in Deutschland steht.

Für besonders sensible Daten ist die pragmatischste Lösung oft ein Anbieter ganz ohne US-Konzernverbindung, ergänzt durch starke Verschlüsselung als zweite Sicherheitsebene, wie Smartbetrieb für kleine und mittlere Unternehmen empfiehlt.

Wie prüfen Sie einen Hosting-Anbieter Schritt für Schritt?

Ein strukturierter Ablauf verhindert, dass wichtige Fragen im Vertriebsgespräch untergehen.

  1. Anfrage stellen und explizit nach AVV, Subprozessorenliste und TOM-Dokumentation fragen, nicht nur nach dem Preis.
  2. AVV prüfen gegen die Pflichtinhalte aus Art. 28: Sind Dauer, Zweck und Löschfristen konkret benannt?
  3. Nachweise anfordern: aktuelle Penetrationstests, Zertifikate, SLA-Dokumente.
  4. Rückfragen stellen, direkt und konkret: „Liegen die Backups in der EU oder im EWR?“, „Wer genau hat administrativen Zugriff auf unsere Daten?“, „Nennen Sie alle Subprozessoren inklusive Standort?“
  5. Entscheidung abwägen zwischen Schutzbedarf der Daten und Kosten oder Performance des Angebots.

Manche Antworten sollten sofort zum Abbruch führen. Verweigert ein Anbieter die Nennung seiner Subprozessoren, ist das kein Zufall, sondern meist ein Zeichen, dass die eigene Dokumentation lückenhaft ist. Genauso bei ausweichenden Antworten zum Backup-Standort oder wenn der AVV erst „nach Vertragsschluss nachgereicht“ werden soll.

Die Gewichtung der Kriterien hängt vom Schutzbedarf ab. Ein einfacher Marketing-Blog ohne Kontaktformular hat andere Anforderungen als ein Online-Shop mit Zahlungsdaten oder eine Praxis-Website mit Gesundheitsdaten. Je sensibler die verarbeiteten Daten, desto weniger Kompromisse sollten Sie bei Zertifikaten, Standort und Nachweispflichten eingehen. Eine Datenschutz-Folgenabschätzung ist bei hohem Risiko ohnehin verpflichtend, und die Ergebnisse dieser Abschätzung sollten sich direkt in Ihrer Anbieterauswahl widerspiegeln.

Wann brauchen Behörden und Schulen strengere Hosting-Standards?

Öffentliche Ausschreibungen, Schulen und Gesundheitsdienste verlangen oft explizit deutsche oder europäische Anbieter, weil das Vergaberecht zusätzliche Dokumentationspflichten mit sich bringt. Eine Kommune, die einen US-nahen Anbieter beauftragt, riskiert genau die Art von Beanstandung, die die Vergabekammer Baden-Württemberg bereits bestätigt hat.

Für Schulen kommt oft eine Genehmigungspflicht durch die Landesdatenschutzbehörde hinzu, bevor Software mit personenbezogenen Schülerdaten überhaupt eingesetzt werden darf. Behörden und Gesundheitsdienste sollten deshalb grundsätzlich Anbieter bevorzugen, die ihre TOMs und AVVs öffentlich einsehbar machen und aktive Auditrechte einräumen.

Wann brauchen Behörden und Schulen strengere Hosting-Standards? — overview diagram

Was hilft in der Praxis wirklich?

Die meisten Diskussionen um DSGVO-konformes Hosting drehen sich um Serverstandort, dabei liegt das eigentliche Risiko fast immer in der Dokumentation. Ich habe in der Praxis öfter Fälle gesehen, in denen der Server nachweislich in Frankfurt stand, der AVV aber seit drei Jahren nicht aktualisiert wurde und die Subprozessorenliste veraltet war. Genau das prüft eine Aufsichtsbehörde zuerst.

Mein konkreter Rat: Bauen Sie sich eine eigene Ablage mit AVV, aktueller Subprozessorenliste und den letzten Audit-Berichten Ihres Hosters, aktualisiert mindestens jährlich. Wer diese drei Dokumente jederzeit vorzeigen kann, hat den größten Teil der Compliance-Arbeit bereits erledigt.

— Lucas

DSGVO-konformes Hosting ist nur ein Teil der Sichtbarkeitsfrage

Ein rechtssicherer Hoster schützt Ihre Daten, sagt aber nichts darüber aus, ob Ihre Kunden in ChatGPT, Perplexity oder Google AI Overviews überhaupt gefunden werden. Für Agenturen, die beides im Blick behalten müssen, Compliance beim Hosting und Sichtbarkeit in KI-Antworten, lohnt sich ein Blick auf growResonance. Die Plattform trackt täglich, ob und wie Kundenmarken in den großen KI-Modellen erwähnt werden, und läuft dabei selbst auf DSGVO-konformem EU-Hosting.

growResonance

Für Agenturen ist das ein doppelter Vorteil: Sie können Kunden mit konkreten Reports unter eigener Marke belegen, dass die Sichtbarkeit in KI-Systemen steigt, während die zugrunde liegende Infrastruktur denselben Ansprüchen genügt, die Sie ihren Kunden beim Hosting selbst empfehlen. Das technische GEO-Audit von growResonance prüft zusätzlich Dinge wie llms.txt-Konfiguration und JSON-LD-Validierung, also Faktoren, die klassische SEO-Tools schlicht nicht abbilden. Wer als Agentur mehrere Kunden gleichzeitig betreut, findet im Preismodell für Agenturen die passende Staffelung nach Anzahl der Marken und Kontingenten.

Quellen

Empfehlungen